Araştırmacılar, ChatGPT Kilit Modunu Aşarak Kullanıcı Etkileşimi Olmadan Sohbet Verilerini Sızdırdı (2026)

Araştırmacılar, ChatGPT Kilit Modunu Aşarak Kullanıcı Etkileşimi Olmadan Sohbet Verilerini Sızdırdı (2026)

Siber güvenlik araştırmacıları, OpenAI ChatGPT’deki Kilit Modu korumalarını atlatmak için kullanılabilecek, şu anda yamalanmış bir güvenlik açığının detaylarını paylaştı.

Kilit Modu, yapay zeka (YZ) şirketi tarafından Haziran 2026’da, komut enjeksiyonlarından kaynaklanan veri sızdırma risklerini en aza indirmek amacıyla isteğe bağlı bir ayar olarak tanıtılmıştı.

Check Point araştırma başkanı Eli Smadja, The Hacker News ile paylaşılan bir raporda, “Bu kusur, ChatGPT masaüstü uygulamasında sıfır tıklamayla veri sızdırma dahil olmak üzere sessiz sohbet verisi hırsızlığına, kimlik avına ve kötü amaçlı yazılım dağıtımına olanak tanıyabilirdi” dedi.

Sorun, ChatGPT kod bloklarındaki HTML sayfa önizlemelerinden kaynaklanıyor; bu önizlemeler, HTML içeriğinin doğrudan uygulama içinde işlenmesine izin veriyor. Kullanıcı tarafından sağlanan HTML ve JavaScript’in yürütülmesinin kendi başına güvenlik riskleri oluşturabileceği göz önüne alındığında, içerik bir sanal alana yerleştirilir, böylece uygulama verilerine (çerezler ve yerel depolama gibi) erişemez.

Sanal alan ayrıca, işlenen içeriğin kullanıcı onayı olmadan harici kaynaklarla iletişim kurmasını da engeller. Kilit Modu, hassas bilgilerin saldırgan kontrollü bir altyapıya aktarılması için kullanılabilecek giden ağ isteklerini sınırlayarak veri sızdırma riskini azaltan bir güvenlik bariyeri görevi görür.

Ancak Check Point, HTML önizlemeleri sırasında açılır pencerelerin işlenme biçiminde, sanal alanın sınırlarından kaçmayı ve Kilit Modunu atlamayı mümkün kılan bir boşluk buldu.

Smadja, “HTML önizlemesi iç içe sanal alanlı çerçeveler kullanıyordu ve ChatGPT yeni pencereleri doğrudan açma girişimlerini engellerken, temel sanal alan izinleri yine de açılır pencerelere izin veriyor ve bunların sanal alandan kaçmasına olanak tanıyordu” diye açıkladı. “İşlenen sayfa içinde başka bir iç içe çerçeve oluşturarak, değiştirilmemiş bir açılır pencere işlevine erişmek ve orijinal HTML önizlemesine uygulanan kısıtlamaları atlamak mümkün oldu. Bu yolla açılan içerik artık aynı sanal alan kısıtlamalarına tabi değildi, bu da Kilit Modu korumalarını atlamak için bir yol sağladı.”

Kısıtlamalar aşıldığında, bir tehdit aktörü bu güvenlik açığını kullanarak veri, sohbet mesajları sızdırabilir veya özel olarak hazırlanmış bir komut, kötü amaçlı bir GPT veya paylaşılan bir sohbet aracılığıyla kötü amaçlı yükler dağıtabilir.

Dahası, saldırgan açılır pencerede görüntülenen içeriğin tam kontrolüne sahip olduğundan, bu durum ikna edici sosyal mühendislik yemleri (sahte bir ChatGPT güncellemesi gibi) oluşturmak ve kurbanı bir bağlantıya tıklayarak kötü amaçlı yazılım indirmeye ikna etmek için kullanılabilir.

Bununla birlikte, temel sorun Electron tabanlı masaüstü ortamıyla sınırlı değildir, bu da YZ modelinin kapsamı dışındaki zayıflıkların YZ güvenlik kontrollerini nasıl zayıflatabileceğini vurgulamaktadır. Sorumlu açıklamanın ardından, güvenlik açığı OpenAI tarafından 18 Eylül 2026’da giderildi.

Smadja, “Kilit Modu, özellikle potansiyel olarak kötü amaçlı giden istekler aracılığıyla bir konuşmadan veri çıkışı olasılığını azaltmak için tasarlanmıştı, ancak başka bir uygulama özelliğindeki bir zayıflık, bu güvenlik sınırını aşmak için alternatif bir yol sağladı” dedi. “Bu bulgu, daha geniş bir kurumsal güvenlik sorununu gündeme getiriyor: YZ güvenlik kontrolleri, etraflarındaki daha geniş uygulama ortamı kadar güçlüdür.”

Bu açıklama, Parameter Labs’ın Ekim 2026’da ChatGPT’nin sanal alanını ve içerik güvenlik politikasını (CSP) atlayarak, yalnızca saldırgan kontrollü bir genel ChatGPT paylaşım bağlantısı göndererek ve kurbanı HTML önizlemesine bir kez tıklamaya teşvik ederek herhangi bir hesabın ele geçirilebileceğini detaylandırmasından bir hafta sonra geldi. HTML bloğu önizlenebilir olarak işaretlenirse, otomatik olarak açılır.

Güvenlik araştırmacısı Mukul Goyal, “Bir saldırgan kötü amaçlı bir konuşma oluşturabilir, bunu ChatGPT’nin normal paylaşım özelliğini kullanarak yayınlayabilir ve bağlantıyı başka bir kullanıcıya gönderebilir” dedi. “Kurban bağlantıyı açtığında, yük chatgpt[.]com olarak kurbanın kimliği doğrulanmış web oturumuna erişimle yürütülüyordu.”

Eylül 2026’nın başlarında, Check Point ayrıca, bir saldırganın kurbanın ChatGPT oturumunu kullanarak, görünür konuşmanın yanı sıra o oturum için mevcut araçlar, veriler ve bağlı uygulamalarla gizli görevleri çalıştırmak için gizli bir hesaplar arası komut kanalı olduğunu da gösterdi.

Check Point, “Kurban, görünür isteğine normal bir yanıt alırken, saldırganın görevi ayrı olarak işleniyor ve sonucu hesaplar arasında geri dönüyordu” dedi. “Kanal, farklı ChatGPT hesaplarına ait kod yürütme ortamları aracılığıyla çalışıyordu.”

“Gizli talimat, kötü amaçlı bir komut, paylaşılan bir ChatGPT konuşması veya özel bir GPT aracılığıyla iletilebilirdi. Kurbanın konuşma bağlamında bulunduğunda, sıradan bir mesaj, görünür yanıtta açığa çıkmadan saldırgan kontrollü görevi tetikleyebilirdi.”

Bu bulgular, son birkaç ayda çeşitli YZ destekli araç ve hizmetlerde, sırları açığa çıkarmak veya yetkisiz eylemler gerçekleştirmek için onları kandırmaya yönelik bir dizi güvenlik açığının keşfiyle aynı zamana denk geliyor:

• SkillJacking adı verilen bir saldırı, beceriler tarafından kullanılan bağımlılıkları (depolar, paketler, alanlar veya bulut uygulamaları) ele geçirerek bunları yükleyen her ajanı tehlikeye atar.
• Beş YZ kodlama asistanı (Cursor, GitHub Copilot, OpenAI Codex, Microsoft Visual Studio Code ve Anthropic Claude Desktop) ile ilişkili yerleşik tarayıcılardaki bir dizi güvenlik açığı, ana bilgisayarda kod yürütmek, dosyaları okumak ve çalmak veya web tarayıcısı adres çubuklarını taklit etmek için kullanılabilir. Bu sorunlar, EMbedded BRowser – Arbitrary Code Execution, Arbitrary Content Exfiltration ve Arbitrary Context Emulation’ın kısaltması olan Embrace olarak kodlanmıştır.
• LangChain LangGraph, Microsoft Agent Framework, Microsoft AutoGen, Google Agent Development Kit 2.0, AWS Strands Agents ve CrewAI’yi hedef alan ve onları “görünüşte zararsız bir metin tekrarı isteği” aracılığıyla araç çağrılarını çalıştırmaya ikna eden Repeat-After-Me adı verilen bir teknik.
• AWS Bedrock AgentCore üzerinde çalışan açıkta kalan bir YZ ajanıyla etkileşime girmesine ve bu ajanı etkilemek ve IMDS kimlik bilgilerini çıkarmak için komut enjeksiyon tekniklerini kullanmasına olanak tanıyan AgentCorruption adı verilen bir güvenlik açığı. Daha sonra bu kimlik bilgileri, diğer ajanlara erişmek, özel konuşmaları okumak, bağlı araç kimlik bilgilerini çalmak ve ajan davranışını manipüle etmek için kullanılabilir.
• SpaceXSI Grok ve GitHub Copilot CLI’daki Kriptografik Bağlam Enjeksiyonu adı verilen bir güvenlik açığı, dolaylı bir komut enjeksiyonu aracılığıyla, kötü amaçlı talimatları AES şifreli metin içinde gizleyerek bir geliştiricinin yerel dosyalarını okumak ve tek bir web sayfasından harici bir sunucuya göndermek için kullanılabilir.
• Web-to-Lead formunu kullanarak dolaylı bir komut enjeksiyonu yükü yerleştirerek Salesforce Agentforce’dan hassas hesap verilerini çıkarmak için kullanılabilecek SalesBleed adı verilen sıfır tıklamalı bir güvenlik açığı.
• Ayrıcalıksız bir yerel saldırganın (veya sürecin) Meta Muse’un dikte trafiğini yönlendirmesine ve YZ asistanına verilen izinleri keyfi eylemler gerçekleştirmek için kötüye kullanmasına olanak tanıyan not-a-mused adı verilen bir kavram kanıtlama (PoC) saldırısı.
• Plugin4Shell adı verilen sıfır tıklamalı bir güvenlik açığı sınıfı, güvenilir bir eklentiyi kötü amaçlı bir eklentiyle sessizce değiştirerek ve SHA sabitlemeyi atlayarak bir YZ tedarik zinciri saldırısı gerçekleştirmek için kullanılabilir. Air Security, “Ajan, pazar yerinin sabitlediği tam taahhüdü kontrol eder ancak oraya ulaşıp ulaşmadığını asla doğrulamaz, bu nedenle eklentinin deposunu kontrol eden bir saldırgan, sabitleme hala onurlu görünürken ödemenin kötü amaçlı koda çözülmesini sağlar” dedi. “Sonuç, Claude Code, Codex, GitHub Copilot ve Gemini CLI’da sıfır tıklamayla uzaktan kod yürütmedir.”
• Google Chrome, Microsoft Edge, Opera Neon, Perplexity Comet ve Anthropic Claude gibi tarayıcılarda yerleşik YZ ajanlarını, zaten yüklü kötü amaçlı bir tarayıcı uzantısını komut zorlamasıyla birlikte kullanarak ele geçirmek için kullanılabilecek BragJack adı verilen bir saldırı.
• Büyük dil modelinin (LLM) çıktısına görünmez bir filigran eklemenin, modelin davranışını (bir YZ ajanının çağırdığı araçlar dahil) istemeden nasıl değiştirebileceğini ve güvenlik reddetmelerini muhtemelen zayıflatabileceğini gösteren örnekleme kayması adı verilen davranışsal bir etki. Lasso Security, “Filigranlama, çıplak zararlı isteklere karşı reddetme davranışını değiştirir, ancak aynı istekler komut enjeksiyon tekniğiyle eşleştirildiğinde etki daha belirgin hale gelir” dedi. “Birkaç modelde, filigranlama daha sonra modelin aksi takdirde reddedeceği zararlı isteklere yanıt verme olasılığını artırır.”
• Müşteri hizmetleri YZ ajanlarını kimlik avı e-postaları oluşturmak ve göndermek, araç çağrılarını çağırmak ve çok faktörlü kimlik doğrulama (MFA) korumalarını atlamak için kullanan bir dizi saldırı.
• Hafif bir geçit modeli tarafından gerçekleştirilen hızlı LLM tabanlı politika kontrollerini, kötü amaçlı talimatı özel olarak hazırlanmış bir düz yazı sarmalayıcıya yerleştirerek atlayan ve ardından yükün daha güçlü bir hedef model tarafından işlenerek kötü amaçlı eylemleri tetikleyen PuzzleMask adı verilen bir komut oluşturma tekniği.
• Bir saldırganın, kimliği doğrulanmamış bir giriş noktası aracılığıyla normal, zararsız istekler göndererek standart kontrolleri atlamasına olanak tanıyan İş Akışı Kimliği Ele Geçirme adı verilen bir teknik, bu da kurumsal YZ hattının isteği işlemesine ve eylemi tasarlandığı gibi yürütmesine neden olur. Noma Security, “Temel hata, isteği yapanın bu isteği yapma yetkisinin olmamasıdır” dedi. “Bir YZ iş akışı aşağı akış eylemleri gerçekleştirdiğinde, harici kullanıcının izinlerini uygulamak yerine yüksek ayrıcalıklı hizmet hesapları veya geliştirici API anahtarları kullanarak yürütür. Sonuç olarak, YZ iş akışları ayrıcalıklı eylemler ve sessiz veri sızdırma için kimliği doğrulanmamış proxy’ler haline gelir.”
• E-postalara, takvim davetlerine veya web sayfalarına kötü amaçlı talimatlar yerleştirerek ve niyet çakışması olarak adlandırılan bir tekniği kullanarak ajanın “kullanıcının kendi kimliğini, izinlerini ve erişimini kullanarak saldırgan adına hareket etmesine” neden olmak için kullanılabilecek PleaseFix adı verilen sıfır tıklamalı bir güvenlik açığı sınıfı.
• Anthropic, Google ve OpenAI’den YZ kodlama ajanlarını etkileyen bir dizi güvenlik açığı, kurbanın sırlarını ele geçirmek, AGENTS.md dosyasını değiştirerek kalıcı talimat zehirlenmesi elde etmek ve GitHub sorunları gibi güvenilmeyen kullanıcı girdilerine yerleştirilen komut enjeksiyonları aracılığıyla yazılım sürümlerini tehlikeye atmak için kullanılabilir.

Novee Security, “Ajanlar, CI/CD, mesajlaşma, triyaj, olay müdahalesi ve destek genelinde varsayılan altyapı haline geliyor” dedi. “Ne kadar otonom hale gelirlerse, koşum takımı sizin adınıza neyin güvenli olduğuna o kadar karar verir ve güvenilmeyen girdi gerçek yürütmeye o kadar ulaşır.”